Eelnõu esitamine Vabariigi Valitsuse istungile

Riigikantselei 19.06.2023 nr 2-1/2023/2219 Eelnõu esitamine Vabariigi Valitsuse istungile Esitame Vabariigi Valitsuse istungile Vabariigi Valitsuse määruse „Vabariigi Valitsuse määruste muutmine seoses Eesti infoturbestandardi kehtestamisega“ eelnõu. Lugupidamisega (allkirjastatud digitaalselt) Tiit Riisalo majandus- ja infotehnoloogiaminister Lisad: 1) eelnõu; 2) seletuskiri. Guido Pääsuke [email protected] Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158  08.06.2023 Vabariigi Valitsuse määruse „Vabariigi Valitsuse määruste muutmine seoses Eesti infoturbestandardi kehtestamisega“ eelnõu seletuskiri 1. Sissejuhatus 1.1. Sisukokkuvõte Eelnõuga tehakse viies Vabariigi Valitsuse määruses tehnilised muudatused, mis on seotud isikuandmete töötlemise nõuete muutmisega ja küberturvalisuse seaduse (edaspidi KüTS) alusel antud rakendusaktide vastuvõtmisega. Muudetavates sätetes viiakse terminid vastavusse isikuandmete kaitse üldmääruses kasutatud terminitega ning muudetavad sätted ühtlustatakse nõuetega KüTS-is, Vabariigi Valitsuse 9. detsembri 2022. a määruses nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ ning ettevõtlus- ja infotehnoloogiaministri 16. detsembri 2022. a määruses nr 101 „Eesti infoturbestandard“. 1.2. Eelnõu ettevalmistajad Eelnõu ja seletuskirja on koostanud Majandus- ja Kommunikatsiooniministeeriumi riikliku küberturvalisuse osakonna küberturvalisuse õigusnõunik Guido Pääsuke ([email protected]). Eelnõule on teinud õigusliku analüüsi Majandus- ja Kommunikatsiooniministeeriumi õigusosakonna õigusnõunik Ragnar Kass ([email protected]). Eelnõu toimetas keeleliselt Justiitsministeeriumi õigusloomekorralduse talituse toimetaja Airi Kapanen ([email protected]). 1.3. Märkused Eelnõu ei ole seotud muu menetluses oleva eelnõuga ega Vabariigi Valitsuse tegevusprogrammiga. Eelnõuga muudetakse Vabariigi Valitsuse järgmiseid määruseid: 1) 28. veebruar 2008. a määrus nr 58 „Riigi infosüsteemi haldussüsteem“ (RT I, 06.08.2019, 18); 2) 22. detsembri 2011. a määrus nr 181 „Arhiivieeskiri“ (RT I, 19.06.2020, 27); 3) 15. märtsi 2012. a määrus nr 26 „Infoturbe juhtimise süsteem“ (RT I, 19.03.2012, 4); 4) 3. oktoobri 2013. a määrus nr 145 „Eesti teabevärava eesti.ee haldamise, teabe kättesaadavaks tegemise, arendamise ning kasutamise nõuded ja kord“ (RT I, 25.03.2021, 5); 5) 31. juuli 2014. a määrus nr 121 „Struktuuritoetuse registri pidamise põhimäärus“ (RT I, 19.05.2022, 6). 2. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb viiest paragrahvist. Eelnõu §-ga 1 muudetakse Vabariigi Valitsuse 28. veebruari 2008. a määrust nr 58 „Riigi infosüsteemi haldussüsteem“. Kehtivas määruses viidatakse isikuandmete kontekstis 2019. aasta 14. jaanuarini kehtinud isikuandmete kaitse seadusele. Ent 25. mail 2018 muutus kohaldatavaks Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste 1 andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88)1. Kuna isikuandmete kaitse üldmäärus on otsekohalduv, muudeti selle rakendamiseks 2019. aastal ja pärast seda paljusid õigusakte, muu hulgas jõustus 2019. aasta 15. jaanuaril uus isikuandmete kaitse seadus2. Vabariigi Valitsuse 28. veebruari 2008. a määrust nr 58 „Riigi infosüsteemi haldussüsteem“ aga vastavalt ei muudetud. Käesoleva määruse peamiste muudatuste eesmärk on viia määrus kooskõlla isikuandmete kaitse üldmäärusega, sealjuures korrigeeritakse viiteid ja termineid. Punktidega 1, 5 ja 8 tehakse tehnilised muudatused, millega jäetakse preambulist, § 7 lõikest 6, § 9 lõikest 2, § 26 ja § 32 eri seadusenimetuste juurest välja noolekujulised jutumärgid (« »). Punktiga 2 asendatakse määruse § 4 lõikes 1 viide isikuandmete kaitse seadusele viitega isikuandmete kaitse üldmäärusele. Muudetavas sättes viidatakse andmetele kui isikuandmetele isikuandmete kaitse seaduse tähenduses. Termin „isikuandmed“ on määratletud isikuandmete kaitse üldmääruses, mis on kohaldatav ka olukorras, kus isikuandmeid töödeldakse õiguskaitse eesmärgil (vt isikuandmete kaitse seaduse § 12 ja § 13 lõiget 1). Punktiga 3 jäetakse määruse § 5 lõikest 2 välja viide isikuandmete kaitse seaduse §-le 6. Tegemist on viitega 2019. aasta 14. jaanuarini kehtinud isikuandmete kaitse seadusele. Muudatuse tulemusel tuleb riigi infosüsteemis isikuandmete töötlemisel lähtuda olenevalt andmete töötlemise eesmärgist nii isikuandmete kaitse üldmääruses kui ka isikuandmete kaitse seaduse §-s 14 sätestatud isikuandmete töötlemise nõuetest. Punktiga 4 asendatakse § 7 lõikes 6 viide varem kehtinud isikuandmete kaitse seadusele viitega isikuandmete töötlemisele. Siinjuures arvestatakse, et Andmekaitse Inspektsioon käsitab isikuandmete töötlemist laiemalt kui vaid isikuandmete kaitse üldmäärusest lähtudes. Punktiga 6 viiakse määruses (§ 18 lõige 2 punkt 11, lõige 3 punkt 3, § 25 lõige 2 punkt 9) kasutatavad terminid kooskõlla isikuandmete kaitse üldmääruses kasutatavate terminitega. Nimelt asendatakse termin „delikaatsed isikuandmed“ isikuandmete kaitse üldmääruse terminiga „eriliiki isikuandmed“. Punktiga 7 sõnastatakse ümber määruse § 18 lõike 2 punkt 18. Määruse kehtiva sõnastuse kohaselt on riigi infosüsteemi halduse infosüsteem (RIHA) andmekogude alamregistrisse kantavate andmekogu üldandmete koosseisus muu hulgas infosüsteemide turvameetmete süsteemi rakendamise staatus, mis muudatuse tulemusel asendatakse Eesti infoturbestandardi rakendamise staatusega. Muudatus lähtub 2023. aasta 1. jaanuaril jõustunud KüTS-i muudatustest, mille tulemusel tunnistati kehtetuks Vabariigi Valitsuse 20. detsembri 2007. a määrus nr 252 „Infosüsteemide turvameetmete süsteem“ (edaspidi määrus nr 252) ning 24. detsembril 2022 jõustus ettevõtlus- ja infotehnoloogiaministri 16. detsembri 2022. a määrus nr 101 „Eesti infoturbestandard“ (edaspidi määrus nr 101). Vabariigi Valitsuse 9. detsembri 2022. a määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ (edaspidi määrus nr 121) § 3 lõike 2 kohaselt ei ole Eesti infoturbestandardi rakendamine kohustuslik, kui rakendatud turvameetmed vastavad rahvusvahelise standardiga ISO/IEC 27001 kehtestatud nõuetele ning Riigi Infosüsteemi Ametile on esitatud kehtivussertifikaat nimetatud standardi täitmise kohta. Käesolevast lõikest lähtudes nähakse eelnõus ette, et riigi infosüsteemi halduse infosüsteem andmekogude alamregistrisse kantakse teave mis tahes Eesti infoturbestandardi asemel rakendada lubatud standardi staatuse kohta. Eelnõu §-ga 2 muudetakse Vabariigi Valitsuse 22. detsembri 2011. a määrust nr 181 „Arhiivieeskiri“. 1 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88) 2 RT I, 04.01.2019, 11 2 Punktiga 1 parandatakse määruses normitehniline eksimus – eemaldatakse üleliigsed jutumärgid. Punktiga 2 sõnastatakse ümber määruse § 28 lõige 14. Muudatuse kohaselt tuleb digitaalarhivaalide säilitamisel juhinduda KüTS-i § 7 lõike 5 alusel Vabariigi Valitsuse või tema volitatud ministri määrusega kehtestatud nõuetest, rahvusvahelistest infoturbe halduse standarditest ja parimast praktikast. Praegu kehtiva määruse sõnastuse kohaselt juhindutakse digitaalarhivaalide säilitamisel määrusega nr 252 sätestatud infosüsteemide kolmeastmelise etalonturbe süsteemi (ISKE) rakendamisjuhendi tüüpmoodulite turvameetmetest, lähtudes digitaalarhivaali säilitamisel kasutatava infrastruktuuri, IT-süsteemide, võrkude ja rakenduste komponentide ning infovarade turbeastmest. Kuna määrus nr 252 muutus 1. jaanuaril 2023 kehtetuks, viiakse eelnõu kooskõlla KüTS-ga ja lähtudes määrusesse lisatavast viitest KüTS-i volitusnormile tuleb digitaalarhivaalide säilitamisel edaspidi juhinduda määrusest nr 121, määrusest nr 101, rahvusvahelistest infoturbe halduse standarditest ja parimast praktikast. Lause lõppu on lisatud viide rahvusvahelistele infoturbe standarditele ja parimale praktikale, kuivõrd ka neist võib tulla suuniseid, kuidas digitaalarhiive säilitada ja nende turvalisus tagada (vaata ka §-ga 3 tehtavat muudatust). Eelnõu §-ga 3 muudetakse Vabariigi Valitsuse 15. märtsi 2012. a määrust nr 26 „Infoturbe juhtimise süsteem“ (edaspidi määrus nr 26). Määruse nr 26 § 1 lõikes 2 asendatakse viide määrusele nr 252 viitega KüTS-i § 7 lõikele 5, mille alusel annab Vabariigi Valitsus või tema volitatud minister määruse, millega sätestatakse nõuded võrgu- ja infosüsteemide turvalisusele ning nende kontrollimisele. Lisaks säilib nõue, et valitsusasutuse juht ja infoturbejuht peavad infoturbega seotud ülesannete täitmisel arvestama ka rahvusvahelisi infoturbe halduse standardeid (nt CobiT - Control Objectives for Information and Related Technology) ja parimaid praktikaid (nt asjaomase asutuste juhised) selles valdkonnas. Määruse nr 26 § 3 punktist 1 jäetakse välja tekstiosa „näiteks infoturbepoliitika,“. Muudatuse tulemusel säilib valitsusasutuse juhi kohustus kehtestada valitsusasutuses (edaspidi käesoleva paragrahvi seletuse osas asutus) infoturvet reguleerivad juhised, milles muu hulgas määratakse kindlaks infoturbe eesmärgid kooskõlas asutuse tegevusstrateegia ja eesmärkidega. Määruse nr 26 § 4 lõike 4 punkti 3 sõnastust ajakohastatakse. Olemasolev viide infosüsteemi turvameetmete süsteemile ehk määrusele nr 252 asendatakse viitega KüTS-i § 7 lõike 5 alusel antud määrustele. Pärast muudatust peab infoturbejuht tegema muu hulgas koostööd andmekaitsespetsialistiga, kui asutus on sellise spetsialisti määranud. Praegu kehtiva määruse kohaselt tuleb teha koostööd isikuandmete töötlemise eest vastutava isikuga. Muudatus on kooskõlas isikuandmete kaitset puudutava regulatsiooni muutmisega. Teiseks tuleb koostööd teha oma asutuse või asutusele teenust osutava asutuse riigi andmekogudele kohustusliku Eesti infoturbestandardi või sellega võrdustatud standardi rakendajaga. Eelnõuga ei muudeta kohustust teha koostööd riigisaladuse kaitset korraldava isiku või üksusega. Määruse nr 26 § 4 lõike 4 punkti 6 esimene lause sõnastatakse uuesti. Kehtiva määruse nr 26 kohaselt infoturbejuht juurutab asutuses ning teavitab viivitamata Riigi Infosüsteemi Ameti infoturbeintsidentide käsitlemise osakonda (CERT-EE) olulistest turvaintsidentidest nende nõuete järgi, mis on toodud määruse nr 252 alusel kinnitatud rakendamisjuhendis. Määrus nr 26 on vastu võetud enne KüTS-i jõustumist, mistõttu muudatusega viiakse määruses kasutatavad terminid ja isikute kohustused kooskõlla KüTS-ga. Pärast eelnõu jõustumist infoturbejuht korraldab asutuses turvameetmete rakendamist, Riigi Infosüsteemi Ameti ja teiste asjakohaste isikute teavitamist küberintsidendist ja turvaintsidendist, sealhulgas olulise mõjuga küberintsidendi lahendamise raporti koostamist ja edastamist. Võrreldes kehtiva eelnõuga sätestatakse selgemalt küberintsidendist teavitamise kohustus ning kohustus tagada intsidendi raporti koostamine ja edastamine asjaomasele ametiasutusele. 3 Määrusese nr 26 § 4 täiendatakse uue lõikega 41. Täiendusega sätestatakse seni § 6 lõike punktis 6 olev kohustus esitada turvaintsidentide raport CERT-EE-le kord kolme kuu jooksul eraldi lõikes. Ühtlasi täpsustakse ka sätte eesmärki, mille kohaselt raport esitatakse kvartaalselt ehk iga kolme kuu järel. Muudatus arvestab hea õigusloome ja normitehnika eeskirjaga, mille kohaselt iga punkti teksti alustatakse väikese tähega ja lõpetatakse semikooloniga, välja arvatud loetelu viimane punkt, mis lõpetatakse punktiga. Samuti tuuakse õigusselguse eesmärgil välja, et Riigi Infosüsteemi Ametile ei pea turvaintsidentide raportit esitama, kui intsident leidis aset võrgu- ja infosüsteemis, millele ei kohaldata KüTS-i. Sellest tulenevalt ei ole ka nende üle Riigi Infosüsteemi Ametil järelevalve kohustust. KüTS § 1 lõikest 2 tulenevalt seadust ei kohaldata: 1) riigisaladuse ja salastatud välisteabe töötlemisele ning sellise teabe töötlussüsteemide pidamisele; 2) Kaitseministeeriumi valitsemisalas rahvusvaheliseks sõjaliseks koostööks ja riigi sõjalise kaitse ettevalmistamiseks vajalike süsteemide pidamisele. Eelnõu §-ga 4 muudetakse Vabariigi Valitsuse 3. oktoobri 2013. a määrust nr 145 „Eesti teabevärava eesti.ee haldamise, teabe kättesaadavaks tegemise, arendamise ning kasutamise nõuded ja kord“ (edaspidi määrus nr 145). Määruse nr 145 § 9 lõike 4 muutmisega viiakse vastav viitamine kooskõlla isikuandmete kaitse üldmäärusega (vt ka eelnõu § 1 sissejuhatava osa selgitust). Määruse nr 145 § 13 lõike 1 punkti 14 muudatusega jäetakse välja viide ISKE-le, kuid säilitatakse kohustus esitada teave registri turvaklassi ja turbeastme kohta. Kehtiva määruse nr 145 kohaselt tuleb muu hulgas esitada andmed teenuse ISKE turvaklassi ja turbeastme kohta (vt ka eelnõu § 4 selgitusi). Eelnõu §-ga 5 muudetakse Vabariigi Valitsuse 31. juuli 2014. a määrust nr 121 „Struktuuritoetuse registri pidamise põhimäärus“. Muudatuse tulemusel jäetakse määruse § 12 lõike 2 esimesest lausest välja viide määrusele nr 252. Muudatusega ei muudeta registri turvaklassi, mis on ka edaspidi K2T2S1. Muudatus on tingitud määruse nr 252 kehtetuks muutumisest alates 1. jaanuarist 2023. 3. Eelnõu vastavus Euroopa Liidu õigusele Eelnõu on vastavuses Euroopa Parlamendi ja nõukogu määrusega (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88). 4. Määruse mõjud Eelnõul ei ole mõju ühelegi valdkonnale, sest tegemist on tehniliste muudatustega, mis tehakse seoses KüTS-i ja avaliku teabe seaduse muudatuste jõustumisega (jõustusid vastavalt 16.08.2022 ja 01.01.2023) ning KüTS-i alusel kehtestatud Vabariigi Valitsuse 9. detsembri 2022. a määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ ning ettevõtlus- ja infotehnoloogiaministri 16. detsembri 2022. a määruse nr 101 „Eesti infoturbestandard“ jõustumisega (jõustusid vastavalt 16.12.2022 ja 24.12.2022). 5. Määruse rakendamisega seotud tegevused, vajalikud kulud ja määruse rakendamise eeldatavad tulud Eelnõu tehakse tehnilised muudatused, mistõttu ei too eelnõu jõustumine riigieelarvele kaasa lisakulu ega -tulu. 6. Määruse jõustumine 4 Määrus jõustub üldises korras. 7. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon Eelnõu esitati eelnõude infosüsteemi kaudu kooskõlastamiseks ministeeriumitele. Eelnõu saadeti arvamuse avaldamiseks Riigi Infosüsteemi Ametile ja Andmekaitse Inspektsioonile. Eelnõu kooskõlastasid märkusteta Haridus- ja Teadusministeerium, Siseministeerium, Välisministeerium ning Keskkonnaministeerium. Justiitsministeerium tegi eelnõule märkusi, mis on kajastatud seletuskirja lisas olevas märkuste tabelis. Kaitseministeeriumi ettepanekuga § 3 punkti 5 täiendamiseks on arvestatud. Teised ministeeriumid kooskõlastasid eelnõu vaikimisi. Riigi Infosüsteemi Amet eelnõule märkusi ei teinud. 5  Vabariigi Valitsuse määruse „Vabariigi Valitsuse määruste muutmine seoses Eesti infoturbestandardi kehtestamisega“ eelnõu seletuskirja lisa Märkuste tabel Märkus Märkusega arvestamine Justiitsministeerium 16.05.2023 nr 8-2/2961 Eelnõu § 1 punkti 3 kohaselt jäetakse Vabariigi Antud selgitus Valitsuse 28. veebruari 2008. a määruse nr 58 „Riigi Infosüsteemi haldussüsteem“ § 5 lõikest Peame vajalikuks sätte jätkuvat olemasolu, et 2 välja viide kehtetuks muutunud isikuandmete toonitada vajadust järgida ka isikuandmete kaitse seadusele. Muudetud sätte sõnastus saab kaitsega seotud nõudeid. seega järgmine: „Lisaks lõikes 1 sätestatud põhimõtetele kohaldatakse isikuandmete töötlemisele riigi infosüsteemis isikuandmete töötlemise põhimõtteid.“ Seega on muudetud säte sisult deklaratiivne. Õigusselgem lahendus oleks tunnistada Vabariigi Valitsuse määruse „Riigi Infosüsteemi haldussüsteem“ § 5 lõige 2 kehtetuks. Eelnõu § 1 punkti 7 järgi muudetakse Valitsuse Antud seletus 28. veebruari 2008. a määruse nr 58 „Riigi Infosüsteemi haldussüsteem“ Vabariigi § 18 Eelnõude juures on jälgitud, milline on selle lõike 2 punkti 18 ning eelnõu § 3 punkti 3 järgi reguleerimisala ja eesmärk. Vabariigi Valitsuse Vabariigi Valitsuse 15. märtsi 2012. a määruse 15. märtsi 2012. a määruse nr 26 „Infoturbe nr 26 „Infoturbe juhtimise süsteem“ § 4 lõike 4 juhtimise süsteem“ on suunatud 1) Määrusega punkti 3 sõnastust. Mõlema muudatuse eesmärk valitsusasutustele ning ministeeriumi kantsleri on sätete ajakohastamine – sätetest kaotatakse ja valitsusasutuse asutuse juhile, seega viide kehtetuks tunnistatud määrusele kehtestatakse ühted nõuded. Valitsuse 28. „Infosüsteemide turvameetmete süsteem“1 ning veebruari 2008. a määruse nr 58 „Riigi viidatakse kehtivatele nõuetele. Samas on Infosüsteemi haldussüsteem“ juures on eelnõu § 1 punkti 7 muudatuses viidatud Eesti arvestatud, et tegemist ei ole vaid infoturbestandardile või sellega võrdsustatud valitusasutustega. Samuti on arvestatud määruse standardile, aga eelnõu § 3 punkti 3 muudatuses kehtiva sõnastuse ulatusega. on viidatud Eesti infoturbestandardile või rahvusvahelise standardile ISO/IEC27001 (ISO standard). Seletuskirjas on märgitud, et Eesti infoturbestandardiga ongi võrdsustatud rahvusvaheline ISO standard. Seletuskirjas ei ole aga selgitatud, miks on määruste ajakohastamisel kasutatud erinevaid sõnastusi samasisuliste muudatuste tegemisel. Palume sõnastuse erinevust põhjendada või seda ühtlustada. 1  EELNÕU 08.06.2023 VABARIIGI VALITSUS MÄÄRUS Vabariigi Valitsuse määruste muutmine seoses Eesti infoturbestandardi kehtestamisega Määrus kehtestatakse arhiiviseaduse § 13, avaliku teabe seaduse § 321 lõike 5, § 433 lõike 5, § 437 lõike 1 ja § 439 lõike 1 punkti 6, perioodi 2007–2013 struktuuritoetuse seaduse § 4 lõike 3, perioodi 2014–2020 struktuuritoetuse seaduse § 37 lõike 4, perioodi 2021–2027 Euroopa Liidu ühtekuuluvus- ja siseturvalisuspoliitika fondide rakendamise seaduse § 21 lõike 5, Vabariigi Valitsuse seaduse § 27 lõike 3 ja välissuhtlemisseaduse § 8 lõike 6 alusel. § 1. Vabariigi Valitsuse 28. veebruari 2008. a määruse nr 58 „Riigi infosüsteemi haldussüsteem“ muutmine Vabariigi Valitsuse 28. veebruari 2008. a määruses nr 58 „Riigi infosüsteemi haldussüsteem“ tehakse järgmised muudatused: 1) määruse preambulis, § 7 lõikes 6 ja § 26 tekstis asendatakse tekstiosa „«Avaliku teabe seaduse»“ sõnadega „avaliku teabe seaduse“; 2) paragrahvi 4 lõikes 1 asendatakse tekstiosa „«Isikuandmete kaitse seaduse»“ tekstiosaga „Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88)“; 3) paragrahvi 5 lõikest 2 jäetakse välja tekstiosa „«Isikuandmete kaitse seaduse» §-s 6 sätestatud“; 4) paragrahvi 7 lõikes 6 asendatakse tekstiosa „«Isikuandmete kaitse seaduse»“ sõnadega „isikuandmete töötlemise“; 5) paragrahvi 9 lõikes 2 asendatakse tekstiosa „«Riigisaladuse ja salastatud välisteabe seadusest»“ sõnadega „riigisaladuse ja salastatud välisteabe seadusest“; 6) paragrahvi 18 lõike 2 punktis 11, lõike 3 punktis 3 ja § 25 lõike 2 punktis 9 asendatakse sõnad „delikaatsed isikuandmed“ sõnadega „eriliiki isikuandmed“ vastavas käändes; 7) paragrahvi 18 lõike 2 punkt 18 sõnastatakse järgmiselt: „18) Eesti infoturbestandardi või sellega võrdsustatud standardi rakendamise staatus;“; 8) paragrahvi 32 tekstis asendatakse tekstiosa „«Arhiiviseadusele»“ sõnaga „arhiiviseadusele“. 1 § 2. Vabariigi Valitsuse 22. detsembri 2011. a määruse nr 181 „Arhiivieeskiri“ muutmine Vabariigi Valitsuse 22. detsembri 2011. a määruses nr 181 „Arhiivieeskiri“ tehakse järgmised muudatused 1) määruse preambulas ja § 1 lõikes 3 asendatakse tekstiosa „„Arhiiviseadus““ tekstiosaga „arhiiviseadus“ vastavas käändes; 2) paragrahvi 28 lõige 14 sõnastatakse järgmiselt: „(14) Digitaalarhivaalide säilitamisel juhindutakse küberturvalisuse seaduse § 7 lõike 5 alusel kehtestatud nõuetest, rahvusvahelistest infoturbe halduse standarditest ja parimast praktikast.“. § 3. Vabariigi Valitsuse 15. märtsi 2012. a määruse nr 26 „Infoturbe juhtimise süsteem“ muutmine Vabariigi Valitsuse 15. märtsi 2012. a määruses nr 26 „Infoturbe juhtimise süsteem“ tehakse järgmised muudatused: 1) paragrahvi 1 lõige 2 sõnastatakse järgmiselt: „(2) Asutuse juht ja infoturbejuht juhinduvad küberturvalisuse seadusest ja selle alusel kehtestatud määrustest, käesolevast määrusest, rahvusvahelistest infoturbe halduse standarditest ja parimast praktikast.“; 2) paragrahvi 3 punktist 1 jäetakse välja tekstiosa „näiteks infoturbepoliitika,“; 3) paragrahvi 4 lõike 4 punkt 3 sõnastatakse järgmiselt: „3) teeb oma ülesannete täitmisel koostööd andmekaitsespetsialistiga, kui asutus on sellise isiku määranud, riigi võrgu- ja infosüsteemile kohustusliku Eesti infoturbestandardi või rahvusvahelise standardi ISO/IEC 27001 rakendajaga ning riigisaladuse kaitset korraldava isiku või üksusega;“; 4) paragrahvi 4 lõike 4 punkt 6 sõnastatakse järgmiselt: „6) korraldab asutuses turvameetmete rakendamist, olulise mõjuga küberintsidendi lahendamise raporti koostamist ja edastamist ning Riigi Infosüsteemi Ameti ja teiste asjakohaste isikute teavitamist küberintsidendist ja turvaintsidendist;“; 5) paragrahvi 4 täiendatakse lõikega 41 järgmises sõnastuses: „(41) Lõike 4 punktis 6 nimetatud raport esitatakse Riigi Infosüsteemi Ametile iga kolme kuu järel. Raporti esitamise kohustust ei ole küberturvalisuse seaduse § 1 lõikes 2 nimetatud teabe töötlemisega seotud võrgu- ja infosüsteemides toimunud küberintsidentide kohta.“. 2 § 4. Vabariigi Valitsuse 3. oktoobri 2013. a määruse nr 145 „Eesti teabevärava eesti.ee haldamise, teabe kättesaadavaks tegemise, arendamise ning kasutamise nõuded ja kord“ muutmine Vabariigi Valitsuse 3. oktoobri 2013. a määruses nr 145 „Eesti teabevärava eesti.ee haldamise, teabe kättesaadavaks tegemise, arendamise ning kasutamise nõuded ja kord“ tehakse järgmised muudatused: 1) paragrahvi 9 lõikes 4 asendatakse sõnad „ning isikuandmete“ tekstiosaga „ja Euroopa Parlamendi ja nõukogu määrusest (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88) või isikuandmete.“; 2) paragrahvi § 13 lõike 1 punktist 14 jäetakse välja sõna „ISKE“. § 5. Vabariigi Valitsuse 31. juuli 2014. a määruse nr 121 „Struktuuritoetuse registri pidamise põhimäärus“ muutmine Vabariigi Valitsuse 31. juuli 2014. a määruse nr 121 „Struktuuritoetuse registri pidamise põhimäärus“ § 12 lõike 2 esimene lause sõnastatakse järgmiselt: „Registri turvaklass on K2T2S1.“. Kaja Kallas peaminister Tiit Riisalo majandus- ja infotehnoloogiaminister Taimar Peterkop riigisekretär 3